Обзор изменений в законодательстве за декабрь 2025 года

В обзоре изменений за декабрь 2025 года рассмотрим:

• правила проверки сведений о категорировании объектов КИИ в атомной отрасли;
• новые порядки обмена информацией между субъектами КИИ РФ и информирования ФСБ России о компьютерных атаках и инцидентах;
• изменения в положении о НКЦКИ;
• порядок получения субъектами КИИ информации о средствах и способах проведения компьютерных атак, а также о методах их предупреждения и обнаружения;
• порядок непрерывного взаимодействия субъектов КИИ;
• требования к средствам ГосСОПКА и ППКА, а также технические условия их установки и эксплуатации.

8 декабря 2025 года Государственной корпорацией по атомной энергии «Росатом» (далее – Госкорпорация Росатом) опубликован проект приказа «Об утверждении порядка проведения в отношении субъектов критической информационной инфраструктуры (далее – КИИ) Российской Федерации (далее – РФ), осуществляющих деятельность в области атомной энергии, оценки актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов КИИ РФ, утвержденных постановлением Правительства РФ от 08.02.2018 № 127, и критериев определения организаций, привлекаемых к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов КИИ РФ, утвержденных постановлением Правительства РФ от 08.02.2018 № 127».

• Сведения о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий (далее – Сведения о категорировании) для субъектов КИИ в области атомной энергии, оценят на актуальность и достоверность по правилам Госкорпорации Росатом (далее – Правила оценки сведений о категорировании).

Правила оценки сведений о категорировании Госкорпорацией Росатом включат следующие этапы:

• формирование рабочей группы для проведения оценки;
• ежегодный запрос сведений от Федеральной службы по техническому и экспортному контролю РФ (далее – ФСТЭК России) о всех субъектах КИИ в области атомной энергии;
• запрос Сведений о категорировании субъектам КИИ (срок ответа на запрос составит – 10 рабочих дней);
• утверждение до 10 апреля ежегодного графика выездных оценок по месту нахождения объектов КИИ;
• проведение выездной оценки объекта КИИ (не более 10 рабочих дней) с предварительным согласованием с субъектом КИИ даты, времени проведения оценки и иных условий;
• формирование и утверждение экспертного заключения в течение 15 рабочих дней по итогам оценки.

Субъекты КИИ смогут направить возражение на экспертное заключение в Госкорпорацию Росатом в течение 20 рабочих дней.
К организациям, привлекаемым для проведения оценки, установят требования, включающие:

• наличие действующей лицензии:

— на проведение работ с использованием сведений, составляющих государственную тайну;
— на деятельность по технической защите конфиденциальной информации (далее – ТЗКИ) в части оказания услуг по контролю защищенности конфиденциальной информации от несанкционированного доступа (далее – НСД) и ее модификации в средствах и системах информатизации или услуг по мониторингу информационной безопасности (далее – ИБ) средств и систем информатизации.

• отсутствие в организации процедур реорганизации, ликвидации или банкротства;
• ведение основного вида деятельности в области информационных технологий (далее – ИТ) и иные требования.

Дата окончания общественного обсуждения – 23 декабря 2025 года.

25 декабря официально опубликован приказ Федеральной службы безопасности РФ (далее – ФСБ России) от 24.12.2025 № 540 «О внесении изменений в Положение о Национальном координационном центре по компьютерным инцидентам (далее – НКЦКИ), утвержденное приказом ФСБ России от 24.07.2018 № 366».
Различия между опубликованной и проектной версиями документа носят уточняющий характер и не меняют его концептуальную основу.
Подробнее с приказом можно ознакомиться в обзоре за ноябрь 2025 года Аналитического центра УЦСБ.
Новый приказ вступит в силу с 30 января 2026 года.
Порядок получения субъектами КИИ информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения
26 декабря официально опубликован приказ ФСБ России от 23.12.2025 № 539 «Об утверждении Порядка получения субъектами КИИ РФ информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения».
Ключевые отличия опубликованной версии документа от проекта:

• введена прямая обязанность субъектов КИИ по получению информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения;
• установлен фиксированный срок ответа на запрос НКЦКИ – 30 рабочих дней.

Подробнее с приказом можно ознакомиться в обзоре за ноябрь 2025 года Аналитического центра УЦСБ.

Новый приказ вступит в силу с 30 января 2026 года.

30 декабря официально опубликован приказ ФСБ России № 546 от 25.12.2025 «Об утверждении Порядка обмена информацией о компьютерных атаках и компьютерных инцидентах между субъектами КИИ РФ, между субъектами КИИ РФ и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты».
Различия между опубликованной и проектной версиями документа носят уточняющий характер и не меняют его концептуальную основу.
Подробнее с приказом можно ознакомиться в обзоре за ноябрь 2025 года Аналитического центра УЦСБ.

Новый приказ вступит в силу с 30 января 2026 года.

30 декабря официально опубликован приказ ФСБ России № 547 от 25.12.2025 «Об утверждении Порядка информирования ФСБ России о компьютерных атаках и компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов КИИ РФ и иных информационных ресурсов РФ, принадлежащих органам и организациям, на которые возложены обязанности, предусмотренные частью 4 статьи 9 Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности КИИ РФ» (далее – 187-ФЗ)».

Ключевые отличия опубликованной версии документа от проекта:

• новый порядок будет распространяться и на субъектов КИИ, владеющих  объектами КИИ без присвоенной категории значимости;
• включена обязанность по информированию ФСБ России о компьютерных атаках и инцидентах в объектах КИИ без присвоенной категории значимости, срок составил 24 часа с момента обнаружения;
• уточнен порядок согласования плана реагирования с Центром защиты информации и специальной связи ФСБ России и Центральным банком РФ.

Новый приказ вступит в силу с 30 января 2026 года.

30 декабря официально опубликован приказ ФСБ России № 548 от 25.12.2025 «Об утверждении Порядка осуществления непрерывного взаимодействия субъектов КИИ РФ, которым на праве собственности, аренды или ином законном основании принадлежат значимые объекты КИИ РФ, а также руководителей органов и организаций, на которых возложены обязанности, предусмотренные частью 4 статьи 9 187-ФЗ, с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (далее – ГосСОПКА) на информационные ресурсы РФ».
Различия между опубликованной и проектной версиями документа носят уточняющий характер и не меняют его концептуальную основу.
Подробнее с приказом можно ознакомиться в обзоре за ноябрь 2025 года Аналитического центра УЦСБ.

Новый приказ вступит в силу с 30 января 2026 года.

30 декабря официально опубликован приказ ФСБ России № 553 от 26.12.2025 «Об утверждении Порядка и Технических условий установки и эксплуатации средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты (далее – средств ГосСОПКА), в том числе средств, предназначенных для поиска признаков компьютерных атак (далее – средств ППКА), за исключением средств ППКА в сетях электросвязи, используемых для организации взаимодействия объектов КИИ РФ»

Ключевые отличия опубликованной версии документа от проекта:

• дополнены технические требования для средств ППКА;
• из технических условий убраны требования ГОСТ Р 59316-2021 «Слаботочные системы. Кабельные системы. Телекоммуникационные пространства и помещения. Аппаратная комната. Общие требования» к помещениям, в которых размещаются средства ППКА.

Подробнее с приказом можно ознакомиться в обзоре за ноябрь 2025 года Аналитического центра УЦСБ.

Новый приказ вступит в силу с 30 января 2026 года.

30 декабря официально опубликован приказ ФСБ России № 554 от 26.12.2025 «Об установлении требований к средствам ГосСОПКА, в том числе к средствам, предназначенным для ППКА»

Ключевые отличия опубликованной версии документа от проекта:

• из требований к средствам обнаружения и средствам ППКА исключены классы соответствия сертификатов для средств обнаружения компьютерных атак, разрабатываемых согласно пункту 1.4 Положения о системе сертификации средств защиты информации (далее – СрЗИ) по требованиям безопасности для сведений, составляющих государственную тайну, утвержденному приказом ФСБ России от 13.11.1999 № 564.

Подробнее с приказом можно ознакомиться в обзоре за ноябрь 2025 года Аналитического центра УЦСБ.

Новый приказ вступит в силу с 30 января 2026 года.